Oracle parchea la vulnerabilidad explotada por BEAST

Oracle ha lanzado una nueva actualización de seguridad de Java para resolver varias vulnerabilidades, entre ellas la explotación del reciente ataque BEAST que permite revelar comunicaciones cifradas sobre SSL v3 y TLS v1.

Para arrancar el ataque, los autores del ataque se aprovechan de la política de Same-Origen de los navegadores, a través de la explotación de una vulnerabilidad en el plug-in de Java, logrando saltear este mecanismo de seguridad, que evita que diferentes sitios web interfieran uno con el otro.

Identificado como CVE-2011-3389, la vulnerabilidad que casi llevó a los desarrolladores de Firefox a la prohibición de Java, luego de esta actualización por parte de Oracle, la fundación Mozilla dijo que "No vamos a bloquear las versiones vulnerables de Java en este momento, a pesar de que continuaremos realizando un seguimiento de los incidentes de esta vulnerabilidad".

Sin embargo, vale la pena señalar que el despliegue del parche no mitiga totalmente el ataque de BEAST, ya que Java es sólo una de varias tecnologías que en teoría puede ser explotada para conseguir el mismo resultado.

Una solución completa implicaría la migración de la totalidad de Internet a TLS 1.1, una versión del protocolo que no es vulnerable a este ataque y ha estado disponible desde 2006. Eso obviamente no va a suceder de la noche a la mañana.

A pesar de la importancia y el conocimiento de BEAST, Java no ha clasificado el parche como de riesgo algo y tiene una puntuación de 4,3 sobre un máximo de 10 en la escala CVSS (Common Vulnerability Scoring System).

Este parche también corrige otras vulnerabilidades consideradas más críticas, como la ejecución de código arbitrario en los distintos componentes, problema distinto de SSL/TLS que afecta la sandbox y un error de DNS poisoning.

Hasta el momento no ha habido reportes de ataques BEAST en entornos reales, a excepción de la demostración oficial en ekoparty, pero de todos modos se recomienda instalar la actualización tan pronto como sea posible.

Cristian de la Redacción de Segu-Info sobre fuente original de Network World

Suscríbete a nuestro Boletín